リスク管理マップにおいて、リスクCは左上の象限に位置しており、リスクCは重大（リスク重要度が高い）であるものの、管理レベルが低いことを示しています。これは、現在の管理ではリスクCに関連する高いリスクを軽減するには不十分であることを示しています。重大リスクについては、リスクが適切に管理・軽減されるためには、より高いレベルの管理が必要です。参考文献：
* 「内部監査：保証およびアドバイザリーサービス」（内部監査人協会）
* 「リスク管理フレームワーク」（COSO）

ステップバイステップの詳細な説明：
A . 経営陣に連絡し、計画を直ちにテストするよう依頼します。
計画を更新せずにテストを行うと、システムに大きな変更があった場合に無関係な結果が生じる可能性があります。
B . レビューの一環として、経営陣向けの復旧計画を更新します。
監査人の役割は、経営陣の責任を遂行することではなく、評価と勧告を行うことです。
C . 復旧計画を評価し、弱点を経営陣に報告する。
評価だけでは、古い計画の更新とテストの必要性に対処できません。
D . 経営陣とユーザーに、復旧計画を更新してテストすることを推奨します。
正解です。このアプローチは計画の欠陥に対処し、現在のシステムとの整合性を確保します。
CIA試験シラバス参考:
ドメイン II: リスク管理と制御 - 災害復旧と事業継続計画。

内部監査におけるベンチマーキングとは、監査対象組織のパフォーマンスや実践を標準またはベストプラクティスと比較することであり、多くの場合、他の組織や情報源からの情報も参照として利用します。このプロセスは、改善点を特定し、パフォーマンス目標を設定するのに役立ちます。したがって、収集した情報を他の情報源からの類似情報と比較することが、ベンチマーキングの正しい定義です。
参考文献:
* 内部監査人協会（IIA）実務ガイド：内部監査と組織パフォーマンス
* IIA規格1220 - 適切な専門家の配慮